Portare il proprio smartphone o tablet personale in azienda e usarlo per lavoro è ormai una pratica diffusa (Byod, Bring your own device), ma quali rischi pone per i dati aziendali? Secondo la nuova 2014 Mobile Security Survey condotta da Check Point, più di metà dei professionisti dell’It interpellati rivela di gestire dati aziendali su dispositivi di proprietà dei dipendenti e quasi tutti (il 98%) si dice preoccupato per l’impatto potenziale di un incidente legato alla mobile security sulla propria organizzazione. La minaccia principale si trova all’interno dell’organizzazione: è la scarsa attenzione dei dipendenti il primo pericolo. Il prezzo da pagare è alto: il 42% dei responsabili It stima in oltre 250.000 dollari il costo dovuto agli incidenti di sicurezza mobile per le loro organizzazioni.

Anche secondo una recente ricerca di Frost and Sullivan, gli attacchi diretti ai device mobili sono in ascesa e l’Europa Occidentale (e in generale “ovunque girino soldi”) è tra gli obiettivi preferiti dagli hacker di device e app mobili: l’11% degli attacchi scoperti era diretto agli utenti in Uk e il 23% a quelli in Francia nella prima metà del 2014. “Molti attacchi cercano di colpire le operazioni di mobile payment o banking”, spiega Jean-Noël Georges, global It programme director di Frost and Sullivan. “Vediamo un alto numero di Trojan diretti ai Bitcoin, per sottrarre credito o aumentarlo in modo fraudolento. I cyber-criminali del mobile hanno tre strategie chiave: minacciare, monetizzare, controllare”.

Facciamo il punto con David Gubiani, Technical Manager Italia di Check Point.

Device mobili e rischi: qual è la situazione oggi? Chi usa lo smartphone deve temere sia generico malware che le azioni di hacker che vogliono rubare dati sensibili?

Ad oggi si calcola che circa 12 milioni di device mobili siano infetti nel mondo. Questo sicuramente a causa della navigazione, ma anche per la crescente diffusione di “rogue applications”, ovvero applicazioni fasulle che vengono pubblicate solamente per infettare i dispositivi. Una volta infetti, questi device entrano a fare parte di BotNet (gruppi di terminali infetti) e di conseguenza possono essere utilizzati per sferrare attacchi verso terze parti o per estrarre dati dal device stesso. Una volta infetti, i device possono essere controllati remotamente. Sono dunque da temere entrambe le minacce.

Android è davvero il sistema più a rischio? Perché: per una vulnerabilità intrinseca o perché è il più diffuso e quindi il più preso di mira?

Entrambe le ragioni hanno un loro fondamento. Innanzitutto Android è un sistema aperto, a differenza di Apple, e questo lo espone maggiormente alle minacce. In aggiunta, dato che in ballo ci sono moltissimi soldi, più un sistema è diffuso, più questo rappresenta un bacino dal quale attingere sferrando attacchi che ne sfruttano le vulnerabilità.

Oggi si stanno diffondendo device Android low-cost di vendor cinesi: sono più a rischio degli altri? Apple, invece, che ha un accordo con Ibm per spingere i suoi device nel mondo business, potrebbe avere una marcia in più visto la sicurezza dell’iOs? E Blackberry secondo lei potrebbe far leva sugli elementi di sicurezza del suo sistema operativo o è un marchio ormai al tramonto?

Non è mio compito valutare il successo e l’evoluzione di un marchio come BlackBerry, posso però dire che il sistema iOs è un sistema proprietario e chiuso mentre Android è un sistema aperto e di conseguenza fare in modo che un attacco ad IOs vada a buon fine è sicuramente più difficile rispetto ad un attacco analogo ad Android. Senza contare che le tante personalizzazioni di Android possono portare con sé altre falle nella sicurezza. Questo però è del tutto indipendentedal costo del device.

Ci sono Paesi più a rischio? O le minacce mobili sono globalizzate? Si può tracciare un identikit del cyber-criminale delle piattaforme mobili?

No, non c’è nazionalità o area preferita, le minacce sono il più delle volte globalizzate perché mirano a raccogliere la maggior parte di successi possibili. Non esiste nemmeno un identikit specifico per i cyber-criminali del mobile ma quello che possiamo dire è che queste operazioni sono nella maggior parte dei casi in mano alla criminalità organizzata. Dietro al cybercrime ci sono spesso organizzazioni internazionali, anche strutturate in modo complesso, che operano allo scopo di avere un ritorno economico, che permette di raggiungere a volte una marginalità intorno al 700%, decisamente superiore rispetto a quanto non possa offrire un qualsiasi mercato regolare.

Le implicazioni dei problemi di sicurezza su mobile sono più per il mercato consumer o per quello business? Il Byod rende più urgente affrontare la sicurezza sui device mobili?

L’urgenza di protezione dovrebbe essere indipendente dal Byod e dal tipo di mercato. Anche se la necessità di gestire più dispositivi differenti in azienda, magari di estrazione tipicamente consumer, sta spingendo i responsabili It delle aziende ad affrontare questo tema con una maggiore urgenza. Ma tutti, sia come privati che come dipendenti, siamo potenzialmente a rischio.

Esistono anche fenomeni di spionaggio tramite i device mobili, quindi azioni di hacker più a sfondo politico?

Ovviamente sì: ogni strumento collegato ad una rete potenzialmente può essere gestito da remoto. E se questo strumento è anche dotato di microfono e fotocamera diventa una possibile preda per chiunque abbia i mezzi e le competenze per sfruttarli. Sono numerosi i casi del genere. Ci sono categorie di malware che fino ad ora sono state appannaggio dei Pc, come lo spyware (per sottrarre informazioni) ed il ransomware (bachi che bloccano il device e chiedono un riscatto), che ora vediamo diffondersi anche alle piattaforme mobili, proprio perché queste diventano più importanti nell’operatività di un’organizzazione.

Come difendersi? Con tecnologie che proteggono i device o con un comportamento più consapevole?

Con entrambi i metodi, l’uno non esclude l’altro; anzi, l’uno rafforza l’altro. L’utente singolo deve assicurarsi che il suo dispositivo abbia un software di sicurezza, e che questo sia sempre attivo ed aggiornato. Ma deve anche prestare la dovuta attenzione ai suoi comportamenti, in particolare nella navigazione su Internet e nella gestione dei messaggi di email. E la cosa vale, forse anche amplificata, in ambito aziendale. La tecnologia è la base, ma un comportamento superficiale mette a rischio anche le soluzioni più avanzate.